IKEv2 liikluse ulatus iPhones: kelle otsustada on katvus

Otsite iPhone'ist lülitit Saada kogu liiklus ja seda ei ole. Natiivses IKEv2 profiilis otsustab marsruutimise ulatuse tarnitud profiil, mitte juhtelement, mida kasutaja saab ümber lülitada, seega puuduva lüliti otsimine Seadetes raiskab pärastlõuna. Õige käik on paluda profiili omanikult liiklusleping kirjalikult ja seejärel see tegelike päringutega üle kontrollida. See juhend teeb seda viies etapis.

Hankige leping kirjalikult enne, kui telefoni vaatate

Neli tulemust vajavad eraldi vastuseid: kas internetis sirvimine peaks kasutama lüüsi, kas seda peaksid tegema ainult privaatsed ressursid, millised kohalikud võrgud ja süsteemiteenused jäävad tunnelist välja, ja mis juhtub, kui tunnel pole saadaval. Need on erinevad nõuded ja neid rahuldavad erinevad võtmed. Profiil, mis katab kõik, ja profiil, mis katab ühe alavõrgu, võivad seadme kokkuvõttekuval välja näha identsed.

Tehke kindlaks ka see, kellele profiil kuulub. Kui selle tarnis haldusteenus, elavad väärtused selles konsoolis ja käsitsi muutmine telefonis on parimal juhul ajutine kohalik muudatus. Kui keegi ei suuda omanikku nimetada, käsitlege seda leiuna ja lõpetage; katvuse oletamine telefonist ei anna vastust, mida saaks kaitsta.

Küsige nelja väärtust, mis ulatuse otsustavad

Katvusvõti on IncludeAllNetworks, mille Apple dokumenteerib kui iOS 14-s kasutusele võetud, ja just see paneb ühenduse liiklust laialt kandma, mitte ainult aadressidele, mida lüüs lükkab. Kohalik erand on ExcludeLocalNetworks, saadaval alates iOS 14.2, ja selle dokumenteeritud iOS-i vaikeväärtus on 1, mis erineb macOS-i vaikeväärtusest 0. Küsige, millist väärtust iga võti tegelikus kandevõimes kannab, selle asemel et eeldada platvormi vaikeväärtust Macile suunatud juhendist.

Seejärel küsige DNS-i kohta, sest see, milline resolver saab privaatseid ja avalikke nimesid, on sama lepingu osa ja sellel on oma kättesaadavusnõue. Tunnel, mis kannab kogu liiklust, kuid jätab privaatsed nimed avalikule resolverile, näib iga kasutaja jaoks katkise tunnelina, kes sisestab lühikese hostinime. Testige seda juhtumit kõigepealt, sest seda on kõige odavam korrata ja just seda teatavad kasutajad katkise VPN-ina.

Kontrollige versiooni alampiiri enne, kui allkirjastate

Igal neist võtmetest on minimaalne väljaanne, ja profiil, mis kannab võtit, mida paigaldatud iOS ei tunne, ei ole osaline edu. Tõuketeateid ja mobiiliteenuseid katvad täiendavad erandvõtmed on samuti omade alampiiridega, seega üheks pargiks koostatud kandevõime võib vanemal osaliselt rakituda. Kirjutage paigaldatud iOS-i versioon kandevõime versiooni kõrvale juurutuskirjesse. Osaliselt rakituv kandevõime on hullem kui see, mis keeldub paigaldamast, sest seade teatab tunnelist, mille üle te ei saa arutleda.

Ärge paigaldage tuvastamata profiili ainult selleks, et paljastada juhtelementi, mida vanema väljaande ekraanipilt lubas. Kui tarnitud konfiguratsioon ei sisalda võtit, ei ole võti jõus, ükskõik mida kokkuvõttekuva vihjab.

Kontrollige liiklusega, mitte lüliti asendiga

Pärast seadistamist avage kavandatud privaatne ressurss ja tavaline avalik leht ning kinnitage, et mõlemad lähevad lepingus kirjeldatud teed. Seejärel lülitage telefon mobiilivõrku, korrake mõlemat ja kontrollige käitumist, mille dokumenteerisite kättesaamatu juhtumi jaoks, selle asemel et see testi käigus välja mõelda. Kaasake üks lubatud üleminek Wi-Filt mobiilivõrku, sest just seal näitab kitsa ulatusega profiil end tavaliselt.

Hoidke järelevalvega hallatav Always On-i juurutus sellest võrdlusest väljas. Automaatne aktiveerimine ja lai marsruutimine isiklikul profiilil ei tõesta seda hallatavat poliitikat, ja vastupidine on samuti tõsi. Testige ühte korraldust korraga ühes seadmes, sest kahte VPN-profiili kandev telefon segab iga tulemuse, mille kogute.

Pöörduge tagasi teadaoleva profiili juurde

Kui käitumine on vale, eemaldage profiil ja paigaldage uuesti viimane teadaolevalt hea kandevõime, selle asemel et seadmes võtmeid muuta. Seejärel kinnitage, et varasem katvus on tõesti tagasi, korrates samu kahte päringut. Tagasipööramine, mis taastab profiili, kuid mitte marsruutimise, ei ole tagasipööramine, ja selle avastab kasutaja, mitte test.

Arhiveerige kandevõime versioon, neli väärtust ja kontrollitulemus koos, et järgmine muudatus algaks dokumenteeritud lähtejoonest, mitte ekraanipildist.